前のページ「Cloudflareのプロキシとは？オレンジ雲の仕組み」で、訪問者とオリジンサーバーの間にCloudflareが立つ構造を学びました。ここで新しい問題が生まれます。通信の暗号化です。ブラウザのアドレスバーに鍵マークが出る、あのHTTPSは、Cloudflareが間に入った構造ではどう実現されるのでしょうか。
実は「Cloudflareを入れたら無料でHTTPS化された」は、Cloudflareが選ばれる大きな理由のひとつです。しかし仕組みを理解せずに使うと、「鍵マークは付いているのに、裏側は暗号化されていなかった」という落とし穴もあります。このページでは、SSL/TLSの基礎から、Cloudflare特有の暗号化モードの選び方までを学びます。
このページで分かること
- SSL/TLSとは何か。HTTPSと何が違うのか
- 暗号化が守ってくれる3つのこと（盗聴・改ざん・なりすまし対策）
- サーバー証明書と認証局（CA）の役割
- Cloudflareが無料でHTTPS化できる仕組み（Universal SSL）
- 暗号化モード（Flexible／Full／Full (Strict)）の違いと正しい選び方
SSL/TLSとは
HTTPの「はがき」をHTTPSの「封書」に
Webの通信はHTTP（HyperText Transfer Protocol）という約束事で行われますが、素のHTTPは暗号化されていません。通信は途中で多くのネットワーク機器を経由するため、暗号化されていない通信は、経路上で盗み見たり書き換えたりできてしまいます。はがきに書いた文面が配達員に読めてしまうのと同じです。
この通信を暗号化して封書にする技術がSSL/TLSです。もともとSSL（Secure Sockets Layer）という名前で生まれ、後継規格がTLS（Transport Layer Security）に改名されました。現在実際に使われているのはTLSですが、「SSL証明書」「SSL化」という呼び名が定着しているため、いまでも両者を合わせてSSL/TLSと呼ぶのが通例です。本ガイドでも慣例に従います。
そして、HTTPをSSL/TLSで包んで安全にしたものがHTTPS（HTTP Secure）です。URLが「https://」で始まり、ブラウザに鍵マークが表示されます。
暗号化が守る3つのこと
SSL/TLSは、単に内容を読めなくするだけの技術ではありません。3つの保護がセットになっています。
- 盗聴の防止（暗号化）：通信内容を第三者が読めなくします。パスワードやクレジットカード番号を守る、いちばん分かりやすい役割です
- 改ざんの検知：通信が途中で書き換えられていないかを検証します。ダウンロードしたファイルへのウイルス混入や、ページへの偽情報の差し込みを防ぎます
- なりすましの防止（認証）：接続先が本物の「kaylog.io」のサーバーであることを確認します。これを支えるのが、次に説明する証明書です
サーバー証明書と認証局
接続先が本物かどうかは、暗号技術だけでは判断できません。そこで登場するのがサーバー証明書です。証明書は「このドメインの正当な管理者のサーバーです」という電子的な証明書で、認証局（CA：Certificate Authority）と呼ばれる信頼された第三者機関が、ドメインの管理権限を確認したうえで発行します。
ブラウザには信頼できる認証局の一覧があらかじめ組み込まれており、接続時にサーバーが提示した証明書を検証します。信頼できる認証局の署名があり、ドメイン名が一致し、有効期限内であれば、鍵マークを表示します。逆に検証に失敗すると「この接続ではプライバシーが保護されません」といった警告画面になります。一度は見たことがあるのではないでしょうか。
かつて証明書は年間数千円〜数万円で購入するものでしたが、現在は無料の認証局（Let’s Encryptなど）が普及し、後述するとおりCloudflareを使えば取得の手作業すら不要になっています。
いまやHTTPSは「全ページ必須」
HTTPSは、ログインページだけのものではありません。主要ブラウザは暗号化されていないHTTPのページに「保護されていない通信」と警告を出し、検索エンジンはHTTPSを評価の要素にしています。個人ブログを含むすべてのWebサイトで、全ページHTTPSが今の標準です。
CloudflareではどうSSL/TLSを使うか
Universal SSL：証明書の自動発行・自動更新
Cloudflareにドメインを追加してプロキシ（オレンジ雲）を有効にすると、Universal SSLという機能により、そのドメイン用のサーバー証明書が無料で自動発行されます。対象はドメイン本体（kaylog.io）と第1階層のサブドメイン（www.kaylog.io など）です。発行はCloudflareが提携する認証局（Let’s EncryptやGoogle Trust Servicesなど）を通じて行われ、期限が来る前の更新も全自動です。
証明書の入手・設置・更新という、かつてサイト管理者を悩ませた作業が丸ごと不要になります。これが「Cloudflareを入れたら無料でHTTPS化できた」の正体です。
通信は2区間ある：ここが最重要ポイント
ただし、前のページを読んだ皆さんなら気づくはずです。プロキシ構成では、通信が2つの区間に分かれています。
- 区間A：訪問者のブラウザ ⇔ Cloudflare
- 区間B：Cloudflare ⇔ オリジンサーバー
Universal SSLの証明書が暗号化するのは区間Aだけです。区間Bをどう扱うかは別の設定になっており、それを決めるのが暗号化モードです。ブラウザの鍵マークは区間Aの状態しか表していないため、「鍵マークが付いている＝末端まで安全」とは限らないのです。
暗号化モード：区間Bの扱いを決める
Cloudflareの暗号化モードには、主に次の種類があります（上から危険な順です）。
- Off：区間A・Bとも暗号化しません。論外です
- Flexible：区間Aは暗号化しますが、区間Bは暗号化しないHTTPで接続します。訪問者には鍵マークが見えるのに、Cloudflareからオリジンサーバーまでは平文が流れる、いちばん誤解されやすいモードです。オリジンサーバーに証明書を用意できない場合の暫定手段と考えてください
- Full：区間Bも暗号化しますが、オリジンサーバーの証明書を検証しません。自己署名証明書（自分で作った証明書）でも接続します。暗号化はされるものの、なりすまし対策が欠けた状態です
- Full (Strict)：区間Bを暗号化し、証明書の検証も行います。これが推奨設定です。オリジンサーバーには、信頼された認証局の証明書か、後述のOrigin CA証明書が必要です
このほか、区間Aの受け付け方に関わらず区間Bを常にHTTPSにするStrict（SSL-Only Origin Pull）という最上位モードや、サイトの状態を診断して安全に適用できる最良のモードを自動選択するAutomatic SSL/TLS（現在の既定値）もあります。自動選択に任せるにしても、目指すべき状態が Full (Strict) であることは変わりません。
Origin CA証明書：区間B専用の無料証明書
「オリジンサーバーの証明書」と聞くと、また証明書の入手作業に戻るのかと思うかもしれません。ここでCloudflareはうまい仕組みを用意しています。Origin CA証明書という、Cloudflareが独自に発行する無料の証明書です。
これはCloudflareだけが信頼する証明書で、区間B（Cloudflare⇔オリジンサーバー）専用です。一般のブラウザからは信頼されないため単体では使えませんが、プロキシ経由の構成なら区間Bにしか使わないので問題ありません。有効期間を最長15年にでき、更新の手間もほぼ無くなります。ダッシュボードから数クリックで発行し、オリジンサーバーに設置すれば、Full (Strict) の要件を満たせます。
具体例：レンタルサーバーのブログをFull (Strict) にする
WordPressブログをCloudflare経由で公開する場合の構成例です。
- 区間A：オレンジ雲を有効にすると、Universal SSLの証明書が自動発行され、訪問者とのHTTPS通信が始まります
- 区間B：レンタルサーバー側で無料SSL（Let’s Encryptなど）を有効にします。多くのレンタルサーバーはワンクリックで設定できます。これが難しい環境ならOrigin CA証明書を設置します
- 暗号化モードを Full (Strict) に設定します
- あわせて「Always Use HTTPS」を有効にすると、http:// でのアクセスが https:// へ自動リダイレクトされ、全ページHTTPSが完成します
初心者が注意するポイント
- Flexibleのまま放置しない：鍵マークが付くので一見完成に見えますが、裏側の区間Bは平文です。個人情報やパスワードを扱うサイトでは特に、Full (Strict) まで進めてください
- リダイレクトループはモード設定を疑う：Flexibleモードでは、Cloudflareがオリジンサーバーへ HTTP で接続します。オリジンサーバー側に「HTTPならHTTPSへ転送」の設定があると、転送が無限に繰り返されてページが表示できなくなります（リダイレクトループ）。Cloudflare導入後にこのエラーが出たら、まず暗号化モードを確認してください
- 混在コンテンツ（Mixed Content）に注意：HTTPSのページの中に「http://」で始まる画像やスクリプトの読み込みが残っていると、ブラウザが警告を出したり読み込みをブロックしたりします。WordPressなら、サイトURL設定と過去記事内のURLをhttpsに揃えます
- 証明書の対象範囲：Universal SSLがカバーするのは第1階層のサブドメインまでです。「blog.app.kaylog.io」のような深い階層を使うには、有料のAdvanced Certificate Manager（月10ドル）が必要になります
関連サービス
- Universal SSL：本ページで説明した無料の自動証明書。オレンジ雲とセットで機能します
- Origin CA証明書：区間B専用の無料証明書。最長15年有効
- Advanced Certificate Manager：深い階層のサブドメイン対応や、認証局・暗号設定のカスタマイズができる有料オプション（月10ドル）
- HSTS・TLS最小バージョン設定：常時HTTPSをさらに強固にする設定群。運用に慣れてから検討すれば十分です
まとめ
- SSL/TLSは通信の暗号化・改ざん検知・なりすまし防止をまとめて提供する技術で、HTTPに適用したものがHTTPS
- 接続先の正当性は、認証局が発行するサーバー証明書で確認される
- Cloudflareでは、オレンジ雲を有効にするとUniversal SSLが証明書を自動発行・自動更新する
- プロキシ構成の通信は2区間あり、ブラウザの鍵マークは区間A（訪問者⇔Cloudflare）しか保証しない
- 区間Bの扱いは暗号化モードで決まる。目指すのは Full (Strict)。Flexibleは暫定手段
- オリジンサーバー側の証明書は、レンタルサーバーの無料SSLか、無料のOrigin CA証明書で用意できる
次に読む
※本記事の情報は 2026年8月時点のものです。